WinorDLL64: 膨大な Lazarus 兵器庫からのバックドア?

ESET の研究者は、 Wslink ダウンローダー これは 2021 年に発見されました。このペイロードは、ファイル名に基づいて WinorDLL64 と名付けられました。 WinorDLL64.dll. ファイル名を持つ Wslink WinorLoaderDLL64.dllは、他のそのようなローダーとは異なり、サーバーとして実行され、受信したモジュールをメモリ内で実行する Windows バイナリ用のローダーです。 言葉遣いが示すように、ローダーは、ペイロードまたは実際のマルウェアを、すでに侵害されているシステムにロードするためのツールとして機能します。 最初の Wslink 侵害ベクトルは特定されていません。

最初は不明だった Wslink ペイロードが、ブログ記事の公開直後に韓国から VirusTotal にアップロードされ、Wslink の一意の名前に基づく YARA ルールの XNUMX つにヒットしました。 WinorDLL64. Wslink に関しては、ESET テレメトリによる検出は、中央ヨーロッパ、北米、および中東でわずかしか確認されていません。

　 WinorDLL64 ペイロードはバックドアとして機能し、特に広範なシステム情報を取得し、ファイルの抽出、上書き、削除などのファイル操作手段を提供し、追加のコマンドを実行します。 興味深いことに、Wslink ローダーによって既に確立されている接続を介して通信します。

2021 年には、Wslink が既知の攻撃者のツールであることを示唆するデータは見つかりませんでした。 しかし、ペイロードを広範囲に分析した結果、次のことが判明しました。 WinorDLL64 ターゲット地域に基づく信頼度が低く、動作とコードの両方が既知の Lazarus サンプルと重複している Lazarus APT グループに分類されます。

少なくとも 2009 年から活動しているこの悪名高い北朝鮮同盟グループは、 ソニー・ピクチャーズ エンタテインメントのハッキング そして数千万ドル 2016 年のサイバー強盗 WannaCryptor (別名 WannaCry) は 2017 年に発生し、これに対する破壊的な攻撃の長い歴史があります。 韓国の公共および重要インフラ 少なくとも 2011 年以降。US-CERT と FBI はこのグループを呼び出します。 隠しコブラ.

私たちに基づいて 幅広い知識 このグループの活動と運営について考えると、Lazarus は体系的に組織され、よく準備され、大きなツールセットを利用するいくつかのサブグループで構成される大規模なチームで構成されていると考えています。 昨年、私たちは Lazarus ツールを発見しました を利用した CVE-2021-21551 オランダの航空宇宙企業の従業員とベルギーの政治ジャーナリストを標的とする脆弱性。 これは、脆弱性の悪用として記録された最初のものでした。 このツールと脆弱性が組み合わさって、侵害されたマシン上のすべてのセキュリティ ソリューションの監視が無効になりました。 また、詳細な説明も提供しました。 仮想マシンの構造 Wslink のサンプルで使用されます。

このブログ投稿では、WinorDLL64 が Lazarus に帰属することを説明し、ペイロードの分析を提供します。

ラザロへのリンク

からの Lazarus サンプルと、動作とコードの両方に重複があることを発見しました。 ゴーストシークレット作戦 と バンクショットインプラント マカフィーによって説明されています。 GhostSecret と Bankshot の両方の記事に記載されているインプラントの説明には、WinorDLL64 との機能の重複が含まれており、サンプル内に一部のコードの重複が見つかりました。 このブログ投稿では、 FE887FCAB66D7D7F79F05E0266C0649F0114BA7C WinorDLL64 と比較するための GhostSecret のサンプル (1BA443FDE984CEE85EBD4D4FA7EB1263A6F1257F)、別段の指定がない限り。

以下の詳細は、Lazarus への帰属の信頼性が低いことを裏付ける事実をまとめたものです。

1.被害者学

• AhnLab の仲間の研究者は、テレメトリで Wslink の韓国の被害者を確認しました。これは、従来の Lazarus の標的を考慮した適切な指標であり、少数のヒットしか観測されていないことを示しています。

図 1. 報告された韓国の被害者 (mstoned7 は Ahnlab の研究者)

2 マルウェア

• McAfee によって報告された最新の GhostSecret サンプル (FE887FCAB66D7D7F79F05E0266C0649F0114BA7C) は 2018 年 2018 月のものです。 私たちは 2018 年後半に Wslink の最初のサンプルを発見し、仲間の研究者が XNUMX 年 XNUMX 月にヒットを報告しました。 したがって、これらのサンプルは比較的短い時間間隔で発見されました。
• 　 PE リッチ ヘッダー 同じ開発環境と同様の規模のプロジェクトが、他のいくつかの既知の Lazarus サンプルで使用されたことを示しています (例: 70DE783E5D48C6FBB576BC494BAF0634BC304FD6; 8EC9219303953396E1CB7105CDB18ED6C568E962）。 これらの Wslink と Lazarus のサンプルのみをカバーする次のルールを使用して、この重複を見つけました。これは、重みの低い指標です。 私たちはそれらをテストしました VirusTotal のレトロハント そして私たちの内部ファイルコーパス。

rich_signature.length == 80 および
pe.rich_signature.toolid(175, 30319) == 7 および
pe.rich_signature.toolid(155, 30319) == 1 および
pe.rich_signature.toolid(158, 30319) == 10 および
pe.rich_signature.toolid(170, 30319) >= 90 および
pe.rich_signature.toolid(170, 30319) <= 108

このルールは、より読みやすく、VirusTotal で使用される次の表記に変換できます。ここでは、製品のバージョンとビルド ID を確認できます (VS2010 ビルド 30319)、使用されるソース/オブジェクト ファイルの数と種類 ([LTCG C++] ここで、LTCG は Link Time Code Generation を表し、 【ASM】, [ C ])、およびエクスポートの数 (【経験値】) ルールで:

[LTCG C++] VS2010 ビルド 30319 カウント = 7
[EXP] VS2010 ビルド 30319 count=1
[ASM] VS2010 ビルド 30319 count=10
[ C ] VS2010 ビルド 30319 カウント [ 90 .. 108 ]

• GhostSecret の記事では、「インバウンド コントロール サーバー接続をポート 443 でリッスンする独自のデータ収集およびインプラント インストール コンポーネント」が説明されており、これはさらにサービスとして実行されました。 これは、構成によって異なるポート番号を除いて、Wslink ダウンローダーの動作を正確に説明したものです。 要約すると、実装は異なりますが、どちらも同じ目的を果たします。
• ローダーは、使用されている商用プロテクターである Oreans の Code Virtualizer によって仮想化されます。 頻繁に ラザロによって。
• ローダーは、 メモリモジュール モジュールをメモリから直接ロードするためのライブラリ。 このライブラリは、マルウェアによって一般的に使用されることはありませんが、Lazarus や Kimsuky などの北朝鮮関連グループの間で非常に人気があります。
• 分析中に見つかった WinorDLL64 と GhostSecret の間のコードの重複。 結果と帰属の有意性を表 1 に示します。

表 1. WinorDLL64 と GhostSecret の類似点と、両方が同じ脅威アクターによるものであるという重要性

ファイル送信機能のコードの重複は、図 2 と図 3 で強調表示されています。

図 2. ファイルを送信する GhostSecret

図 3. ファイルを送信する Wslink

テクニカル分析

WinorDLL64 は、広範なシステム情報を取得し、ファイル操作の手段を提供し、追加のコマンドを実行するバックドアとして機能します。 興味深いことに、ローダーによってすでに確立されている TCP 接続を介して通信し、ローダーの機能の一部を使用します。

図 4. Wslink の通信の可視化

バックドアは、XNUMX つのパラメーターを受け入れる名前のないエクスポートを XNUMX つ持つ DLL です。 以前のブログ投稿. この構造体には、TLS コンテキスト (ソケット、キー、IV) と、256 ビット AES-CBC で暗号化されたメッセージを送受信するためのコールバックが含まれており、WinorDLL64 は、確立済みの接続を介してオペレーターとデータを安全に交換できます。

次の事実から、ライブラリが実際に Wslink の一部であると確信できます。

• 一意の構造は、どこでも期待どおりに使用されます。たとえば、TLS コンテキストやその他の意味のあるパラメータが、期待どおりの順序で正しいコールバックに提供されます。
• DLLの名前は WinorDLL64.dll Wslinkの名前は WinorLoaderDLL64.dll.

WinorDLL64 はいくつかのコマンドを受け入れます。 図 5 は、コマンドを受信して​​処理するループを示しています。 各コマンドは一意の ID にバインドされ、追加のパラメーターを含む構成を受け入れます。

図 5. バックドアのコマンド受信ループの主要部分

ラベルを付けたコマンド リストを図 6 に示します。

図 6. コマンド リスト

表 2 には、WinorDLL64 コマンドの概要が含まれています。変更された古いカテゴリは、以前に文書化された GhostSecret 機能との関係を示しています。 変更されたカテゴリの重要な変更のみを強調しています。

表 2. バックドア コマンドの概要

まとめ

Wslink のペイロードは、ネットワーク セッションに特に関心があるため、ファイル操作、追加のコードの実行、および後でラテラル ムーブメントに活用できる基礎となるシステムに関する広範な情報を取得するための手段を提供することに専念しています。 Wslink ローダーは、構成で指定されたポートをリッスンし、追加の接続クライアントにサービスを提供したり、さまざまなペイロードをロードしたりできます。

WinorDLL64 には、開発環境、動作、およびコードにいくつかの Lazarus サンプルとの重複が含まれています。これは、北朝鮮と連携したこの APT グループの膨大な武器からのツールである可能性があることを示しています。

IoC

MITER ATT＆CKテクニック

このテーブルは バージョン12 ATT&CK フレームワークのローダーからのテクニックについては再度言及せず、ペイロードについてのみ言及します。

• SEO を活用したコンテンツと PR 配信。 今日増幅されます。
• Platoblockchain。 Web3メタバースインテリジェンス。 知識の増幅。 こちらからアクセスしてください。
• 情報源： https://www.welivesecurity.com/2023/02/23/winordll64-backdoor-vast-lazarus-arsenal/